B45/100
情報漏えい · 高
使えるねっとに不正アクセス 使えるポータルの顧客情報漏えい
ティアB · 今週中にパッチ – 次のスプリントで対応
影響を受ける人： 使えるポータルの顧客と共有サーバーの利用者
ティアBの理由： 悪用確認済み または 公開エクスプロイト
影響範囲
攻撃
被害
修正
悪用確認済み · シークレットの流出
要点
- 使えるねっとは11月7日、契約管理・サービス購入ポータル「使えるポータル」で管理する顧客情報の漏えいが判明したと発表した
- 共有サーバーの一部では、バックアップからの復元により直近のメールが消失した
- 記事の情報では攻撃の手口や漏えいした情報の範囲は確認できない
なぜ重要か
クラウド・ホスティングを利用する開発者にとって、預けている顧客情報やメールの扱いが問題になる。利用中のサービスからの公式発表や続報を確認する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中3項目が「はい」
| はい | 開発者に影響 | 使えるねっとはクラウド・ホスティングサービスを提供し、開発者や運用チームが利用する事業者であるため |
| いいえ | 基幹インフラ | 一社のホスティング事業者のサービスであり、ほぼすべてのチームが運用する基幹ソフトウェアではないため |
| いいえ | 人気ツール | ニッチなホスティングサービスの事故であり、多くのチームが使う一般的な開発技術ではないため |
| はい | 悪用確認済み | サイバーセキュリティ.com：11月7日に不正アクセスによる顧客情報の漏えいが判明したと発表と報じている |
| いいえ | 公開エクスプロイト | サイバーセキュリティ.com：公開された記事にエクスプロイトや攻撃手順の記載はないため |
| いいえ | 認証不要のリモート攻撃 | サイバーセキュリティ.com：侵入経路や攻撃手法について記述がなく、ソースでは確認できないため |
| いいえ | 完全な乗っ取り | サイバーセキュリティ.com：顧客情報の漏えいと共有サーバーのメール消失は報じられたが、管理者権限の奪取は報じられていないため |
| はい | シークレットの流出 | サイバーセキュリティ.com：使えるポータルで管理する顧客情報が漏えいしたと報じている |
| いいえ | サプライチェーン | サイバーセキュリティ.com：正規ソフトウェアへの悪意あるコード配布や署名鍵の侵害は報じられていないため |
| いいえ | 修正なし | サイバーセキュリティ.com：修正の提供状況や未修正の脆弱性については報じられていないため |
タイムライン
使えるねっとが使えるポータルの顧客情報漏えいを発表
サイバーセキュリティ.com
使えるねっとに不正アクセス 使えるポータルの顧客情報が漏えい 共有サーバーでメールも消失
出典
使えるねっとに不正アクセス 使えるポータルの顧客情報が漏えい 共有サーバーでメールも消失 ↗ サイバーセキュリティ.com · 2時間前